Cysic приостановила работу своего кроссчейн-моста после того, как злоумышленник воспользовался уязвимостью в инфраструктуре обработки сообщений, чтобы выпустить 10 млн несанкционированных токенов CYS в сети BNB Smart Chain, продав 7,2 млн из них и переведя около $727 тыс. в Ethereum.

Инцидент 17 октября был связан с несанкционированным доступом к базе данных и поддельными инструкциями на эмиссию. Cysic внесла адрес получателя в черный список, заблокировав оставшиеся 2,8 млн токенов примерно через 76 минут после несанкционированной эмиссии.

Foundation подтвердил в заявлении в X, что инцидент затронул только инфраструктуру моста. Работа мейннета Cysic не пострадала, активы в кошельках пользователей не были украдены.

Взлом базы данных позволил провести несанкционированную эмиссию CYS

Атака началась в 12:31:38 UTC 17 октября, когда несанкционированная транзакция эмиссии создала дополнительный объем токенов CYS в сети BNB Smart Chain. По предварительным данным, был получен несанкционированный доступ к базе данных, обслуживающей кроссчейн-сервисы Cysic. Злоумышленник воспользовался уязвимостью в логике обработки сообщений моста, чтобы отправить поддельную инструкцию на эмиссию, которую система приняла.

Скомпрометированная инфраструктура отвечала за кроссчейн-обмен сообщениями и выпуск токенов, а не за работу консенсуса базовой сети. Мосты выполняют эту функцию верификации и выпуска независимо от соединяемых сетей, поэтому уязвимость в обработке сообщений может привести к несанкционированной эмиссии даже при сохранении целостности базовой сети и активов пользователей. Cysic привлекла внешнюю компанию в сфере безопасности для расследования точки входа, уязвимости в обработке и последующего движения средств.

В документации по безопасности Cysic верификация сообщений моста, контроль эмиссии и целостность кроссчейн-активов перечислены среди ранее проверенных компонентов. Foundation пока не раскрыл полный технический сценарий атаки.

Злоумышленник продал 7,2 млн CYS до блокировки кошелька

Трекинг транзакций в блокчейне показывает, что злоумышленник начал перемещать токены в течение пяти минут после несанкционированной эмиссии. В первом раунде транзакций было продано около 5,65 млн CYS за 588 315 USDT. Затем еще 1,55 млн CYS были обменены примерно на 220 BNB, а сделки проходили через инфраструктуру децентрализованных бирж, включая PancakeSwap.

Выручка была переведена из BNB Chain в Ethereum через сервисы Mayan, deBridge и Bridgers от SWFT. Принимающий адрес накопил примерно 306,6 ETH на сумму около $727 тыс. по курсу Ethereum на 18.

Cysic внесла адрес злоумышленника в CYS в черный список в 13:47:52 UTC — эта блокирующая мера не позволила перевести оставшийся баланс. Ограничение не затронуло ETH, уже выведенные в Ethereum, где трекинг транзакций выявил последующий перевод на другой адрес.

Несанкционированная эмиссия составила около 6,2% от находящегося в обращении объема CYS в 160,8 млн токенов и 1% от общего объема в 1 млрд токенов. Количество выпущенных токенов не совпадает с фактически полученной выручкой злоумышленника, и Cysic пока не установила итоговый размер финансового ущерба и не вернула ETH, переведенные через мост.

Мост остается приостановленным до завершения проверки безопасности

Эксплойт заключался в несанкционированном создании токенов, а не в прямом изъятии средств из пула ликвидности моста, то есть это нарушение целостности эмиссии того же типа, что затронуло мост Sys в июне, когда уязвимость в валидации привела к выпуску около 5 млрд несанкционированных SYS. Сопоставимые инциденты демонстрируют масштаб риска: в феврале 2022 года уязвимость в проверке подписей в мосте Wormhole позволила выпустить 120 000 wrapped ETH без обеспечения на сумму более $300 млн по тогдашнему курсу, а месяц спустя мост Ronin потерял более $600 млн после того, как атакующие получили большинство ключей валидаторов. Кроссчейн-мосты регулярно становятся целью атак, поскольку могут создавать и перемещать активы между несколькими блокчейн-сетями.

Кроссчейн-инфраструктура Cysic остается приостановленной, пока расследователи изучают скомпрометированную базу данных, поддельные инструкции на эмиссию и оставшиеся активы под контролем злоумышленника. Foundation намерен опубликовать последующий отчет об инциденте с подтвержденным финансовым ущербом, отслеживанием средств и мерами по устранению последствий. Дата возобновления работы моста не объявлена.